“Hallo mam, mijn telefoon is stuk, kan ik even via jouw WhatsApp…?” En dan het bericht: “Ik krijg een code, kun je die even doorsturen?” Als je die zescijferige code hebt doorgestuurd, is je WhatsApp-account op dit moment geregistreerd op het toestel van iemand anders. Dat voelt naar, maar het goede nieuws: je kunt het nu, op dit moment, ongedaan maken, en dat kost drie minuten.
Nu doen
- Open WhatsApp op je eigen telefoon. Onder Instellingen (of via het menu) vind je “Een ander nummer registreren” of je voert je nummer opnieuw in. WhatsApp verstuurt een nieuwe code, je toestel wordt het actieve toestel, en de aanvaller valt eruit. Dit is de belangrijkste stap en hij werkt altijd, ook als je nummer op een ander apparaat is geregistreerd.
- Zet tweestapsverificatie aan. Instellingen, Account, Tweestapsverificatie. Kies een pincode die je tegen niemand zegt, plus een reserve-e-mail. Hiermee kan een aanvaller je nummer niet opnieuw registreren, ook niet als hij later opnieuw een code onderschept.
- Controleer je verbonden apparaten. Instellingen, Verbonden apparaten: ieder toestel dat je niet kent, meld je af.
- Waarschuw je contacten. Een korte, warme boodschap: “Mijn WhatsApp was even overgenomen. Als je gisteren een noodkreet van mij kreeg, niet op reageren en geen geld sturen.”
- Check of er iets is betaald of gedeeld. Kijk in de app bij je bank. Is er geld gegaan, bel dan je bank en volg het stappenplan bij oplichting.
- Verander je wachtwoorden elders. Wie je WhatsApp had, had misschien ook andere accounts van je. Begin bij het algemene stappenplan.
Wat er gebeurd is
WhatsApp kent geen “inloggen met wachtwoord”: je account is je telefoonnummer, en wie de registratiecode heeft, heeft het account. De aanvaller vroeg jouw nummer op op zijn eigen toestel, en WhatsApp stuurde de code naar jouw telefoon. Jij stuurde de code door, en daarmee was de registratie rond. De aanvaller kreeg eenWhatsApp-account met jouw naam, profielfoto en je volledige gespreksgeschiedenis: gouden context voor een volgende ronde oplichting, want hij zag met welke namen jij vertrouwd praat en tegen wie. Dit is trouwens precies waarom de “Hallo papa/mama”-fraude zo effectief is: het verhaal en de naam kloppen.
De variant met de code heet in jargon “vriend-in-nood”. Het is geen technische hack van je toestel: je telefoon is niet besmet, alleen je registratie is verhuisd. Dat is waarom de oplossing simpel is: opnieuw registreren vanaf je eigen toestel.
Herstel en nazorg
- Verwacht een tweede poging. Aanvallers proberen het soms opnieuw, via hetzelfde verhaal of via een “foutje met de code”. Codes deel je met niemand, ook niet met familie “die even testing doet”.
- Check op doorstuurregels. Zelden nodig bij WhatsApp zelf, maar als je e-mail óók gekoppeld was, controleer dan je e-mail.
- Vertel het in je gezin. Bijna alle slachtoffers van de vriend-in-nood-truc sturen codes door aan iemand die ze dierbaar is. De truc overleeft in families die elkaar niet waarschuwen.
Zo voorkom je een round two
- Tweestapsverificatie aan, en nooit meer uitzetten. Zonder pin kan niemand je nummer registreren, zelfs niet met een onderschepte code.
- Spreek af met je naasten: een echte code-vraag via een chat is altijd oplichting. Bel iemand terug op zijn eigen nummer als het verhaal spannend is.
- Waardeer je WhatsApp-privacyinstellingen: een open profielfoto en “voor iedereen zichtbare” status geven een aanvaller context.
- Lees voor de achtergrond: is WhatsApp eigenlijk veilig? en hoe SIM-swapping je nummer kan stelen.
Veelgestelde vragen
De aanvaller heeft mijn code en belt straks niet meer op. Is mijn account dan al veilig?
Nee, registratie blijft actief tot jij opnieuw registreert of hij uitlogt. Doe dus altijd de herregistratie op je eigen toestel en zet daarna de tweestapsverificatie aan.
Kan ik zien wat hij heeft verstuurd?
Je gesprekken synchroniseren meestal deels terug: korte, verontrustende berichten aan je contacten zijn terug te lezen. Contacten waarschuwen blijft nuttiger dan gereconstrueerde schaamte.
Mijn nummer is óók overgenomen via mijn provider (SIM-swapping). Wat dan?
Dan werkt herregistreren niet of kortstondig, en moet je eerst je provider bellen: hier lees je die route.
